世界トップクラスのAI企業2社が、同じ月にAIを活用した脆弱性発見に相次いで賭けに出ました。これはもはや単なるトレンドではありません。ひとつの転換期です。
先月、Anthropicはサイバーセキュリティに特化したAIシステム「Claude Mythos」を中核に据えたProject Glasswingを発表しました。このシステムは、ソフトウェアの脆弱性を自律的に大規模で特定する能力を持っています。発表直後、MythosはMozillaがFirefoxの単一リリースで271件もの脆弱性を発見・修正するのを支援しました。
続く先週、OpenAIがDaybreakで応酬。Cisco、CrowdStrike、Palo Alto Networks、Akamaiが支援するこのシステムは、GPT-5.5-Cyberのエージェント機能を基盤に構築されており、世界中の企業や政府機関向けに、脆弱性検出・パッチ検証・セキュアなソフトウェア開発の自動化を目指しています。
両社のメッセージは共通しています。AIが脆弱性の発生から公開までのタイムラインをほぼゼロに圧縮しつつあるということです。ITおよびセキュリティチームにとって、これは根本からすべてを変える出来事です。
ボトルネックは「発見」ではなかった
長年にわたり、セキュリティ業界は脆弱性の「発見」こそが最大の難題だと捉えてきました。スキャン対象のエンドポイントを増やし、より多くの脅威インテリジェンスフィードを購入し、CVEの相関分析を強化する。その裏にある暗黙の前提は、すべてを可視化できれば安全になれる、というものでした。
しかし、MythosがFirefoxの脆弱性271件を一度のスキャンで発見したことは、「発見」がもはやボトルネックではないことを明らかにしています。今や問題の本質は、脆弱性を見つけたその後にあります。
典型的な企業の修復ワークフローを思い浮かべてみてください。セキュリティチームは、定期的な（多くの場合、週次または月次の）脆弱性スキャンを実行します。結果が出るまで待機し、スプレッドシートやチケット管理システムにエクスポートします。影響を受ける具体的なデバイスを特定し、ステージング環境でパッチをテストします。そして手動で承認・展開し、最後に再スキャンで確認する、という流れです。
AIが普及する以前、このプロセスには通常2～4週間かかっていました。しかし、DaybreakやMythosが悪用可能な脆弱性を数時間以内に発見できる時代において、その2～4週間という期間は、攻撃者への「開かれた招待状」と等しいものになっています。修復ワークフローが手動で、断片的で、遅いままである限り、露出期間は拡大し続けるばかりです。
新しいセキュリティの方程式
AIを活用した発見ツールは、脆弱性の露出ギャップをさらに圧縮するでしょう（それはすでに起こっています）。影響を受ける資産を特定し、数週間ではなく数時間から数分で修正プログラムを導入できる組織は、それができない組織とは根本的に異なるリスクカテゴリーに位置することになります。
今日のセキュリティ方程式はシンプルです。 検出までの時間の短縮 + 修復までの時間の短縮 = 露出期間の縮小
従来のスキャナーや連携していないパッチ適用ツールは、この方程式の両辺において常に課題を抱えてきました。定期スキャンは、サイクルの合間に死角を作ります。手動のパッチワークフローは、各引き継ぎポイントで遅延を生じさせます。さらに、スキャナーからパッチ適用ツールへ調査結果を移送する作業は時間を浪費し、不必要なエラーの余地を生み出します。
AIが発見側を加速させるにつれて、修復への圧力はますます高まっています。露出期間を最小化し、迅速に立て直せる体制を整える上で最も有利な立場にある組織は、必ずしも最も多くの脆弱性を発見している組織ではありません。調査結果に基づいて行動し、最も素早く修復できる組織です。
この瞬間のために作られたNinjaOne
NinjaOne Vulnerability Managementは、従来のスキャナーとは異なる前提のもとに設計されています。その設計の根底には、検知と修復を別々のシステムで行うべきでないという考え方と、シンプルさそのものがセキュリティ上の優位性であるという認識があります。
- スキャン不要の継続的な脆弱性評価 ― スキャンサイクルの合間に死角を生む定期スキャンに依存するのではなく、NinjaOneは管理対象エンドポイントのソフトウェアインベントリテレメトリをリアルタイムのCVEインテリジェンスと継続的に照合します。スキャン間隔はなく、 エンドポイントのパフォーマンスへの悪影響もなく、今週のスキャンから来週のスキャンまでの間に死角も生まれません。新たなCVEが公開されると、影響を受けるデバイスは数日ではなく数分で特定されます。
これは1年前より今日においてより重要な意味を持っています。DaybreakとMythosが開示のペースを加速させるにつれ、週1回のスキャナーと継続的に照合を行うプラットフォームの違いは、侵害のインパクトによって測られることになります。
- 検出から直接アクションへ ― ほとんどの脆弱性ツールはダッシュボードへの表示より先に進みません。NinjaOneは検出を修復に直結させます。脆弱な資産が特定された瞬間から、ITチームはデータのエクスポート、スプレッドシートの照合、プラットフォームの切り替えなしに、パッチ展開に移行できます。検出から修復までのループが、単一のワークフローで完結します。
これが実践における「実行レイヤー」の意味です。より多くの可視性ではなく、「把握」から「修正」までの時間を短縮することです。
- 自律的なパッチ管理 ― ポリシー主導のパッチ自動化により、各ステップで手動承認なしに、エンドポイント全体にパッチを大規模展開できます。チームはパッチ適用対象、タイミング、方法のルールを定義し、プラットフォームが実行します。数百～数千のエンドポイントを管理する組織にとって、これは新たな重大なCVEへの対応を数週間から数時間に短縮する違いをもたらします。
- パッチインテリジェンスAI ― スピードは重要ですが、安定性も同様です。迅速なパッチ適用の隠れたコストのひとつが、新たな問題を引き起こすアップデートを展開するリスクです。ブルースクリーンを引き起こすWindowsの更新プログラムや、業務に必要不可欠なアプリケーションを破壊するパッチなどがその例です。
NinjaOneのパッチインテリジェンスAIは、この問題に直接対処します。Microsoftのアドバイザリ、コミュニティのシグナル、匿名化された実際の展開テレメトリを分析し、Windowsの更新プログラムを「安定確認済み」「既知の問題」「注意」に分類。リスクの高いアップデートが本番環境に影響を与える前に、自動的に展開を一時停止することができます。
AIがこれまで以上に速くパッチを生成する世界において、展開前に安定性を検証する能力の重要性はますます高まっています。
- オフラインデバイスへの対応 ― 従来のスキャナーが対処できないシナリオがあります。直前のスキャン実行時にデバイスがオフラインだった場合、そのデバイスがネットワーク外にある間に新しいCVEが発生しても、スキャン結果には表示されません（つまり、無期限にパッチ未適用のまま放置される可能性があります）。
NinjaOneのサーバーサイド照合は最後に確認されたソフトウェアインベントリを使用するため、オフラインのデバイスも現在のCVEインテリジェンスと照合して評価されます。再接続時にはすでにフラグが立てられており、修正の準備が整っています。
ITおよびセキュリティチームが今すぐ知るべきこと
Daybreakのリリースは注目に値しますが、それはより大きな現実を浮き彫りにしています。攻撃者（そして防御者）が脆弱性を発見するために使用するツールは、指数関数的に高度化しています。発見用のツールだけをアップグレードする（スキャナー、フィード、ダッシュボードをさらに追加する）ことで対応する組織は、問題が「わかる」ようになります。しかし、レジリエンスを構築している組織とは、発見から修復までのギャップをスピードと自信をもって埋めることができる組織です。
あなたの組織がどちらの側にいるかを確認するには、次の問いが参考になります。新たなCVEから、エンドポイント全体で修復が確認されるまでに、あなたのチームはどれくらいの時間がかかりますか。
正直な答えにスプレッドシート、チケットのキュー、複数のプラットフォーム間の引き継ぎが含まれているなら、それこそが真の脆弱性です。
- 定期的なスキャンサイクルに依存している組織は、すべてのスキャンサイクルの合間に死角が存在しており、その死角ではリスクが高まり続けています。
- 検出から展開までに手動のステップを必要とするパッチワークフローを持つ組織は、攻撃者が同じ露出を評価している間、すべてのCVEがキューで待機しています。
- 脆弱性ツールとパッチ適用ツールがリアルタイムでデータを共有していない場合、プロセスに構造的な遅延が組み込まれています。
NinjaOneは、これらのボトルネックを単一のプラットフォーム内で解消します。継続的なリアルタイム評価。統合されたポリシー主導のパッチ適用。AIを活用した安定性の検証。定期スキャン不要、エージェントのパフォーマンスへの影響なし、プラットフォームの乱立なし。これにより、あなたの組織はリアルタイムで修復をリードしながら、自信を持って素早く行動できるよう、脆弱性管理とパッチ管理プロセスを再構築できます。AIが脆弱性の状況をを再構築・拡大させている今こそ、組織はセキュリティの根幹となるアプローチも見直す必要があります。
